技能 image-to-video
📦
image-to-video
内容修订 r1 高风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问
使用 RunComfy 为静态图像制作动画
选择合适的图像转视频模型可能会浪费额度和时间。此技能会将每个请求路由到一个 RunComfy 模型，并提供特定于模型的提示词。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "image-to-video" from https://skillstore.io/skills/doany-ai-image-to-video.md and its manifest at https://skillstore.io/api/skills/doany-ai-image-to-video/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“image-to-video”。 一张人像照片需要细微运动，同时保留身份特征。
预期结果:
该技能会选择 HappyHorse 1.0 I2V，推荐一个简短的 1080P 片段，并起草以运动为重点的提示词。
正在使用“image-to-video”。 为一个竖版广告提供了一张头像照片和旁白 URL。
预期结果:
该技能会选择带自定义音频的 Wan 2.7，将时长与旁白匹配，并建议有用的负向提示词。
正在使用“image-to-video”。 需要用一张主体图像、咖啡馆视频和声音参考来指导一个片段。
预期结果:
该技能会选择 Seedance 2.0 Pro，并将参考内容映射为主体、场景和声音提示。
安全审计
高风险v4 • 2026/7/5 打开版本化报告
Most static detections are false positives caused by Markdown backticks, placeholder URLs, and example field names. Confirmed risks remain for intentional external CLI execution, token persistence, third-party media processing, and an installation-source mismatch.
1
已扫描文件
206
分析行数
11
复核项
0
已忽略误报
已确认安全问题 (2)
高
Installation Source Mismatch
The skill links to and installs agentspace-so/runcomfy-skills while this marketplace package is audited from a different source. Users could be routed to unaudited code.
The GitHub link and npx install command both name agentspace-so/runcomfy-skills. The report source identifies a different repository, so the mismatch is explicit.
中
Third-Party Media and Prompt Transfer
The skill states that the CLI posts requests to RunComfy and that RunComfy servers fetch user media URLs. Sensitive prompts or media can leave the local environment.
The security notes directly describe remote API submission, server-side media fetching, and outbound RunComfy endpoints. This supports a privacy-risk finding.
能力复核项 (11)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
高
Hidden file in home directory
- **Token storage**: `runcomfy login` writes the API token to `~/.config/runcomfy/token.json` with m
The skill documents that the RunComfy CLI stores an API token under a hidden home-directory config path. Mode 0600 reduces exposure, but the persisted credential is still a real risk.
中
Ruby/shell backtick execution
model. Calls `runcomfy run <vendor>/<model>/image-to-video` (or
The skill explicitly directs agents to invoke the local RunComfy CLI. This is disclosed and central to the skill, but it executes external software and submits remote jobs.
中
Ruby/shell backtick execution
```bash
The fenced example contains an npx-based global skill install command. Global installs from a repository are legitimate setup steps, but they create supply-chain and execution risk.
中
Ruby/shell backtick execution
1. **RunComfy CLI** — `npm i -g @runcomfy/cli`
The prerequisite instructs users to install a global npm CLI package. This is an intentional setup command with standard third-party package execution risk.
中
Ruby/shell backtick execution
2. **RunComfy account** — `runcomfy login` opens a browser device-code flow.
The login command invokes the external RunComfy CLI and initiates an account authentication flow. This is expected behavior, but it affects local credentials.
中
Ruby/shell backtick execution
```bash
The code block shows a RunComfy CLI invocation that sends an image-to-video job to a remote service. It is intentional, but still requires external command and network trust.
中
Ruby/shell backtick execution
```bash
The code block shows a RunComfy CLI invocation for a remote lip-sync video job. It is legitimate for the skill, but it executes an external CLI with user-provided media inputs.
中
Ruby/shell backtick execution
```bash
The code block shows a RunComfy CLI invocation for a remote multi-modal generation job. It is legitimate for the skill, but it runs external tooling with media references.
中
Ruby/shell backtick execution
The skill picks one of HappyHorse 1.0 I2V / Wan 2.7 t2v+audio / Seedance 2.0 Pro based on user inten
The skill states that it invokes runcomfy run and that the CLI posts requests and downloads generated output. This confirms real external command use and remote processing.
中
Ruby/shell backtick execution
- **Token storage**: `runcomfy login` writes the API token to `~/.config/runcomfy/token.json` with m
The line references runcomfy login and local token handling. The command is expected, but it stores authentication material through an external CLI.
中
Hidden file access
- **Token storage**: `runcomfy login` writes the API token to `~/.config/runcomfy/token.json` with m
The documented token file is hidden configuration containing API credentials. The access pattern is standard but security-relevant because compromise of the account can expose the token.
风险因素
⚙️ 外部命令 (51)
SKILL.md:9 SKILL.md:13 SKILL.md:27-29 SKILL.md:29-38 SKILL.md:38-39 SKILL.md:39 SKILL.md:48-49 SKILL.md:49-50 SKILL.md:50-57 SKILL.md:57-63 SKILL.md:63-64 SKILL.md:64-65 SKILL.md:65 SKILL.md:66-67 SKILL.md:67-68 SKILL.md:68-74 SKILL.md:74-81 SKILL.md:81-93 SKILL.md:93-95 SKILL.md:95 SKILL.md:103-104 SKILL.md:104-105 SKILL.md:105 SKILL.md:106 SKILL.md:107 SKILL.md:108-109 SKILL.md:109-113 SKILL.md:113-122 SKILL.md:122-127 SKILL.md:127-128 SKILL.md:128 SKILL.md:129-135 SKILL.md:135-143 SKILL.md:143-144 SKILL.md:144 SKILL.md:145 SKILL.md:146 SKILL.md:147 SKILL.md:148-149 SKILL.md:149 SKILL.md:150-151 SKILL.md:151-155 SKILL.md:155-165 SKILL.md:165-169 SKILL.md:169 SKILL.md:170-180 SKILL.md:180 SKILL.md:197 SKILL.md:201 SKILL.md:202-204 SKILL.md:204
🌐 网络访问 (8)
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/doany-ai-image-to-video/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/doany-ai-image-to-video?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/doany-ai-image-to-video?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/doany-ai-image-to-video/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/doany-ai-image-to-video.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
doany-ai. (2026). image-to-video security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/doany-ai-image-to-video/audits/4BibTeX 引用
@techreport{doany-ai-doany-ai-image-to-video-2026,
author = {doany-ai},
title = {image-to-video security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/doany-ai-image-to-video/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "image-to-video security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "doany-ai"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/doany-ai-image-to-video/audits/4"
identifiers:
- type: other
value: "skillstore:doany-ai-image-to-video:audit:4"
description: "Skillstore immutable audit report identifier"
比较变体
9 个可安装变体每位作者的技能都保持为独立的可安装项。推荐变体按 Skillstore 证据排序。
为什么此变体排名第一
Skillstore 评分最高
作者 / 来源 Skillstore 评分 证据置信度 Skillstore 使用量 已更新
runcomfy-com 推荐
runcomfy-com-image-to-video
Skillstore 评分 78
证据置信度 高
Skillstore 使用量 31
已更新
2026-09-09
halt-catch-fire-image-to-video
Skillstore 评分 50
证据置信度 中
Skillstore 使用量 8
已更新
2026-09-09
skills-collective-image-to-video
Skillstore 评分 50
证据置信度 中
Skillstore 使用量 4
已更新
2026-09-09
inference-sh-9-image-to-video
Skillstore 评分 38
证据置信度 中
Skillstore 使用量 16
已更新
2026-09-09
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
67
社区
83
规范符合性
你能构建什么
创建产品动态片段
通过特定于模型的提示词指导，将产品静态图转换为短展示、环绕或微距动态片段。
生成旁白变体
当自定义音频 URL 可用时，将人像或发言人请求路由到口型同步工作流。
融合参考媒体
使用主体图像、场景视频和音频参考来规划多模态 RunComfy 生成请求。
试试这些提示
基础静态图动画
为此图像 URL 制作动画：[image URL]。使用轻柔运动，保持主体稳定，并将结果保存到 [output folder]。
产品展示片段
根据 [image URL] 创建一个简短的产品展示。使用缓慢环绕、稳定的包装文字、干净的光线和五秒时长。
自定义旁白口型同步
使用 [portrait image URL] 为发言人制作动画，并与 [audio URL] 进行口型同步。使片段长度与音频匹配，并避免字幕。
多模态参考方案
使用 [subject image]、[scene video] 和 [voice audio] 创建一个片段。保留主体身份，并遵循参考场景的氛围。
最佳实践
- 每个片段使用一个主要运动节奏，让模型拥有明确的视觉目标。
- 在提示词中明确身份、品牌和几何结构保留目标。
- 在将私人图像、语音录音或品牌资产发送到 RunComfy 之前确认已获得同意。
避免
- 在未审查 RunComfy 处理要求之前，不要提交机密媒体 URL。
- 不要在参考图像和视频之间混用无关的视觉风格。
- 不要请求一个需要同时使用多个模型路由的片段。
常见问题
该技能默认使用哪个模型？
对于通用静态图像动画请求，它默认使用 HappyHorse 1.0 I2V。
它可以使用自定义旁白吗？
可以。它会将自定义旁白口型同步请求路由到带音频 URL 的 Wan 2.7 工作流。
它可以组合图像、视频和音频参考吗？
可以。它会为多模态参考工作流使用 Seedance 2.0 Pro 指导。
它会在本地生成视频吗？
不可以。它使用本地 RunComfy CLI 将作业提交到 RunComfy 远程服务。
需要哪些设置？
用户需要 RunComfy CLI、RunComfy 账户、身份验证和有效的源媒体 URL。
用户应审查哪些隐私问题？
提示词和媒体参考可能会由 RunComfy 服务处理，因此敏感资产需要额外审查。